We fight for your digital rights!: „Für manche Leute ist das lebensbedrohlich.“

Wenn ich es zynisch sage: Wir leben in einer Welt, in der es niemanden mehr juckt, dass wir alle überwacht werden. Ich erinnere an Edward Snowden 2013. Das ist jetzt neun Jahre her, da haben wir das schwarz auf weiß bekommen: Die Geheimdienste überwachen alle auf der ganzen Welt. Sämtliche technische Kommunikation. Aber heutzutage interessiert das die Leute nicht mehr großartig. Es gibt keine Demos, keine Aufreger.

Aber die Arbeit muss gemacht werden, und sie ist wichtig. Wir kämpfen ja nicht nur Kämpfe, die aussichtsreich sind. Doch wenn wir nicht kämpfen würden, dann sähe es noch viel schlimmer aus.

Überall Bettwanzen

Heute geht es bei Weitem nicht mehr nur um Smartphones. Jeder Computer – und Computer sind überall – kann gehackt werden, wird von Kriminellen gehackt, wird von Geheimdiensten gehackt. Wir reden auch von ganzen Servern. Wir reden von Internetroutern, wir reden von Autos, von Internet of Things, von Smart-TVs. Alles, was einen kleinen Computerchip enthält und bestenfalls auch noch ans Internet angeschlossen ist, kann gehackt werden.

Und was man dann nach dem Eindringen machen kann, ist auch nicht nur Überwachung, ist auch nicht nur Spionieren, sondern man kann es auch sabotieren. Man kann es herunterfahren, man kann gefälschte Beweise drauf platzieren.

Geräte sind heutzutage mehr als irgendein Laptop vor zehn Jahren. So ein Smartphone weiß mehr über uns, als wir das manchmal selber wissen. Das enthält nicht nur all die Dinge, die im Detail darauf gespeichert sind, sondern auch die Kameras und Mikrofone und alle die anderen Sensoren, auf die das Gerät Zugriff hat. Die ganzen Accounts, wo das Smartphone eingeloggt ist – das weiß, wo wir schlafen, das weiß, bei wem wir schlafen und mit wem wir schon mal geschlafen haben. Auch wenn wir das vielleicht selbst nicht mehr so genau wissen.

Wir haben uns in den 80er- und 90er-Jahren in diesem Land über die akustische Wohnraumüberwachung, über Mikrofone im Schlafzimmer gestritten. Heutzutage hat jeder ein Mikrofon im Schlafzimmer – und lädt es über Nacht auf. Das ist einfach ein komplett neues Einfallstor für Überwachung. Es gibt Sicherheitslücken in Smartphones, die Apple und Google nicht gemeldet werden. Und Milliarden iPhones und Androids auf der Welt haben diese Lücke. Jeder kann mit diesen Lücken gehackt werden.

Die Welt sicherer machen

Es werden so viele Weichen gestellt, die enorm wichtig sind für die Zukunft. Unsere Welt wird immer digitaler und technischer. Und wir besitzen immer weitere Computer und die uns den ganzen Tag umgeben.

Der Umgang damit ist elementar für so viele Menschen auf der ganzen Welt. Gerade staatliche Befugnisse sollten daher beschränkt sein auf das, was sinnvoll, notwendig, angemessen, verhältnismäßig ist. Wir haben ja gerade bei dem Thema Staatstrojaner gesehen, wie viel Missbrauch, wie viel Schaden, wie viel Überwachung von Journalist:innen, Aktivist:innen, Politiker:innen, Menschenrechtsverteidiger:innen weltweit passiert. Das bedeutet eine immense Gefahr für Menschenrechte, für Freiheitsrechte, für die Demokratie – bei manchen Leuten sogar für ihr Leben.

Deutschland ist ein Rechtsstaat und es gibt ein Grundrecht auf Gewährleistung der Integrität von IT-Systemen. Das muss der Staat gewährleisten. Die Dinge können sich auch politisch verändern: Nur weil sich heute niemand für einen interessiert, heißt das nicht, dass das morgen auch noch so ist. Wer weiß denn, ob Leute, die heute fürs Klima kleben, in drei Jahren nicht bereits als Terrorist:innen gelten? Gegen die wird dann vielleicht das ganz große Besteck von Polizei und Geheimdiensten rausgeholt.

Wer sagt mir denn, dass der polnische Geheimdienst, der ungarische Geheimdienst, die italienische Polizei oder sonst irgendjemand aus einem anderen Land mich nicht auf dem Schirm hat, wenn ich etwas Kritisches darüber schreibe, vielleicht einen kritischen Zeitungsartikel retweete oder ich einfach nur jemanden dort kenne? Ich möchte meinen Teil dazu beitragen, die Welt ein bisschen sicherer und besser zu machen. So pathetisch das klingt, aber dafür ist netzpolitik.org ja auch da.

Was technisch möglich ist, ist gar nicht so geheim.

Eine Frage bei Überwachungstechnologie ist: Wer kauft was? Das sieht man ja nicht. Nicht direkt. In welchem Tool steckt was drin? Wer hat genug Ressourcen? Wer hat welche Lizenz?

Es gibt auch berüchtigte internationale Messen, wo diese Unternehmen ihre Produkte ausstellen und bewerben. Polizei, Geheimdienste, Militärs aus der ganzen Welt, die Überwachungstechnologie brauchen oder wollen, gucken sich dort um, was es so gibt, schütteln Hände, nehmen Visitenkarten mit und Broschüren, in denen steht, was die Produkte alles so Tolles leisten, lassen sich das dann vorführen und kaufen das dann irgendwann auch. Wir dürfen leider nicht auf diese Messen. Es waren mal Journalist:innen drin, aber irgendwann sind sehr viele Werbebroschüren von denen auf Wikileaks gelandet und seitdem dürfen keine Journalist:innen mehr rein.

Ganz am Anfang haben die Leute von FinFisher auch noch mit uns geredet. Am Anfang hat auch NSO noch mit Medien geredet und die haben dann irgendwann einfach nur gesagt: „Es reicht. Presse geht nie gut für uns aus. Wir reden jetzt gar nicht mehr mit euch.“

Es gibt viele Unternehmen in diesem Bereich, die wahrscheinlich nur einer kleinen Fachöffentlichkeit bekannt sind. Und nur sehr wenige dieser Unternehmen machen aktive Pressearbeit. Der Markt wandelt sich gerade rasant, was auch damit dazu zu tun hat, dass die drei großen Firmen der vergangenen zehn Jahre – Hacking Team, FinFisher und NSO – gerade entweder schon tot sind oder im Sterben liegen. Aber es ist eine Hydra, ein Unternehmen ist tot und fünf neue tauchen auf.

Wir stehen auf den Schultern von Giganten

Um Schadsoftware und die dazugehörenden Unternehmen ausfindig zu machen, gibt es zum Glück eine kleine, internationale Community von Menschenrechtsaktivist:innen, Akademiker:innen, NGOs – Citizen Lab und Amnesty International sind da die ganz Großen. Aber auch IT-Sicherheitsfirmen sind darunter, die jegliche Schadsoftware analysieren und beobachten, die dann auch staatliche Schadsoftware untersuchen. Die stellen mit Hilfe technischer Analysen fest, dass jemand zum Beispiel mit Schadsoftware gehackt und überwacht wurde. Die Analysen helfen dann auch dabei festzustellen, dass die Überwachung mit diesem oder jenem Produkt von diesem oder jenem Unternehmen erfolgte. Das ist eine sehr komplexe, aufwändige Arbeit.

Wer ist denn dieses Unternehmen, wo sitzen die? Was arbeiten da für Leute? Wie funktioniert das? Wer könnte deren Kunden sein? In welchem rechtlichen Rahmen? Halten die alle Gesetze ein? Sind diese Gesetze ausreichend oder müssen die angepasst werden? Und eben deshalb setzen wir uns ja nicht nur mit den konkreten Tools und den einzelnen Unternehmen, sondern auch mit der Gesetzgebung auseinander.

Wenn aus Klagen Klagen werden

Dann haben wir in zurückliegenden Fällen – etwa bei FinFisher – nachgebohrt. Durften die das damals überhaupt exportieren? Wir fragten Abgeordnete. Ach, es gab überhaupt keine Exportgenehmigungen. Dann haben wir gedacht: Na, wenn es das nicht gab und das trotzdem in diesem Land gelandet ist, dann müsste das ja illegal sein. Haben mit Anwälten gesprochen von ECCHR, Gesellschaft für Freiheitsrechte und Reporter ohne Grenzen und haben uns dann zusammengetan und gesagt: Es sieht so aus, als ob ein Produkt aus Deutschland in der Türkei eingesetzt wurde, obwohl es dafür nicht die erforderlichen Exportgenehmigungen gab. Also haben wir jede Menge Indizien und aus unserer Sicht Beweise zusammengetragen, eine Strafanzeige formuliert und die dann bei der Staatsanwaltschaft in München eingereicht.

Die meisten Strafanzeigen zum Fall FinFisher in Deutschland und in der EU, die ich kenne, sind eingestellt worden oder im Sande verlaufen. Sie sind zumindest nicht erfolgreich gewesen und deswegen waren wir auch nicht allzu zuversichtlich. München ist außerdem ein wichtiger Wirtschaftsstandort, digitales Isar-Valley. Aber die haben unsere Recherchen tatsächlich ernst genommen, haben angefangen zu ermitteln und dann bei FinFisher eine Razzia gemacht. Und jetzt ist das Büro dicht und FinFisher in Deutschland, wie wir es kannten und kennen – die ja auch einen Vertrag mit dem BKA hatten –, gibt es so nicht mehr.

Wir bei netzpolitik.org sind ein Puzzle-Stück im Gefüge und tun unseren Part mit unserem besonderen Ansatz, mit unseren Ressourcen. Ich wüsste jetzt nicht, welches andere Medium das in dieser Form – so langfristig, so beharrlich und so detailliert – machen könnte, wie wir es tun. Schon allein die Idee, dabei mitzumachen, eine Strafanzeige einzureichen. Welches Medium würde so was einfach mal mitmachen?

Wobei das bei uns auch eine lustige Geschichte war. Ich habe damals in der Redaktionskonferenz gefragt: Wollen wir das eigentlich machen? Und so groß war das Echo nicht. Und im Endeffekt haben wir, glaube ich, fast eine Münze geworfen. Mir war es gar nicht so wichtig, dass netzpolitik.org namentlich auf dieser Strafanzeige steht. Wichtig war es mir und uns, dass es überhaupt gemacht wird. Und wir hatten ja schon richtig coole Kooperationspartner:innen mit Reporter ohne Grenzen, der Gesellschaft für Freiheitsrechte, dem ECCHR plus all die anderen drumrum, die Techies, die anderen NGOs, die Opfer, die Betroffenen. Hauptsache, es wird gemacht – und wir tragen unseren Teil dazu bei.

Der Text basiert auf einem Gespräch, das Stefanie Talaska geführt und aufbereitet hat.

Kommt mit uns in den Maschinenraum von netzpolitik.org: In sieben Videos und persönlichen Einblicken zeigen wir euch, mit welchen Prinzipien und mit welchen Mitteln unsere Redaktion arbeitet.